CVE-2026-90543 in AVideo
Zusammenfassung
von VulDB • 12.09.2026
WWBN AVideo nella commit c3edcc274c389816d434acadac07ee78eaf330c1 e nelle versioni precedenti, con il plugin Live abilitato, presenta una vulnerabilità di mancanza di autenticazione in plugin/Live/socketMessageLiveOwner.json.php. Lo script legge i parametri `key` e `msg` da $_REQUEST, risolve il proprietario dello stream tramite LiveTransmition::keyExists e verifica che il proprietario dello stream (e non il chiamante) sia un amministratore; non esegue alcun controllo User::isLogged() e non impone token CSRF. Di conseguenza, un attaccante remoto non autenticato che conosce la chiave live di uno stream di un amministratore può invocare sendSocketSuccessMessageToUsers_id e inviare messaggi di notifica arbitrari nell'app/socket a tale amministratore. Il problema era ancora senza patch al momento della pubblicazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.